ចំណុចខ្សោយ Django SQL Injection ត្រូវបានគេវាយប្រហារ

ភាពងាយរងគ្រោះនៃការចាក់ SQL កម្រិតខ្ពស់នៅក្នុងក្របខ័ណ្ឌគេហទំព័រ Django ឥឡូវនេះកំពុងត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្មនៅក្នុងការវាយប្រហារក្នុងពិភពពិត ដែលបង្កើនការព្រួយបារម្ភសម្រាប់អង្គការដែលកំពុងដំណើរការកម្មវិធីភូមិសាស្ត្រលើការដាក់ពង្រាយដែលគាំទ្រដោយ PostGIS។

កំហុសឆ្គងនេះ ដែលត្រូវបានតាមដានថាជា CVE-2026-1207 ប៉ះពាល់ដល់ម៉ូឌុល GIS របស់ Django ហើយត្រូវបានបញ្ជាក់ដោយប្រភពស៊ើបការណ៍សម្ងាត់គំរាមកំហែងជាច្រើនថាត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្ម។

ក្រុមសន្តិសុខ Django ដំបូងបានបង្ហាញបញ្ហានេះនៅក្នុងខែកុម្ភៈ ឆ្នាំ 2026 ជាផ្នែកមួយនៃការចេញផ្សាយសុវត្ថិភាពកាន់តែទូលំទូលាយ ដែលដោះស្រាយភាពងាយរងគ្រោះជាច្រើននៅទូទាំងកំណែដែលគាំទ្រ។

ខណៈពេលដែលកំហុសឆ្គងជាច្រើនត្រូវបានចាត់ថ្នាក់ថាមានភាពធ្ងន់ធ្ងរទាបទៅមធ្យម CVE-2026-1207 បានលេចធ្លោសម្រាប់សក្តានុពលរបស់វាក្នុងការអនុញ្ញាតឱ្យមានការសម្របសម្រួលដោយផ្ទាល់នៃមូលដ្ឋានទិន្នន័យ។

បញ្ហានេះប៉ះពាល់ជាពិសេសដល់កម្មវិធីដែលប្រើ GeoDjango ជាមួយ Backend PostGIS ដែលជាការកំណត់រចនាសម្ព័ន្ធដែលត្រូវបានប្រើជាទូទៅសម្រាប់សេវាកម្មផ្អែកលើទីតាំង វេទិកាផែនទី និងប្រព័ន្ធវិភាគដែលជំរុញដោយទិន្នន័យ។

ភាពងាយរងគ្រោះស្ថិតនៅក្នុងរបៀបដែល Django ដំណើរការការស្វែងរកវាលរ៉ាស្ទើរ ជាពិសេសនៅក្នុងការគ្រប់គ្រងប៉ារ៉ាម៉ែត្រសន្ទស្សន៍ក្រុម។ ការផ្ទៀងផ្ទាត់មិនត្រឹមត្រូវនៃការបញ្ចូលដែលផ្គត់ផ្គង់ដោយអ្នកប្រើប្រាស់អនុញ្ញាតឱ្យអ្នកវាយប្រហារចាក់សំណួរ SQL ដែលមានគំនិតអាក្រក់។

ដោយការបង្កើតសំណើដែលរៀបចំប៉ារ៉ាម៉ែត្រដូចជា "band" អ្នកគំរាមកំហែងអាចបង្កឱ្យមានសំណួរមូលដ្ឋានទិន្នន័យដែលមិនបានគ្រោងទុក ដែលអាចបង្ហាញទិន្នន័យរសើប ឬកែប្រែកំណត់ត្រា backend។

ភាពងាយរងគ្រោះនៃការចាក់ SQL របស់ Django ត្រូវបានកេងប្រវ័ញ្ច

អ្នកស្រាវជ្រាវសន្តិសុខបានសង្កេតឃើញថា ការប៉ុនប៉ងកេងប្រវ័ញ្ចបានចាប់ផ្តើមភ្លាមៗបន្ទាប់ពីការបង្ហាញជាសាធារណៈ។ Telemetry ពី CrowdSec បង្ហាញថា ការវាយប្រហារត្រូវបានរកឃើញជាលើកដំបូងនៅចុងខែកុម្ភៈ ឆ្នាំ 2026 ហើយបានបន្តក្នុងល្បឿនស្ថិរភាព។

មិនដូចយុទ្ធនាការស្កេនដោយស្វ័យប្រវត្តិទ្រង់ទ្រាយធំទេ ការវាយប្រហារទាំងនេះហាក់ដូចជាមានគោលដៅច្រើនជាង ដោយផ្តោតលើការកំណត់អត្តសញ្ញាណឧទាហរណ៍ Django ដែលត្រូវបានកំណត់រចនាសម្ព័ន្ធជាមួយនឹងការគាំទ្រ PostGIS។

នេះបង្ហាញថា អ្នកវាយប្រហារកំពុងផ្តល់អាទិភាពដល់ប្រព័ន្ធដែលមានតម្លៃខ្ពស់ជាជាងការកេងប្រវ័ញ្ចដោយមិនរើសអើង។ សេណារីយ៉ូវាយប្រហារធម្មតាពាក់ព័ន្ធនឹងការផ្ញើសំណើ HTTP ដែលបង្កើតឡើងជាពិសេសទៅកាន់ចំណុចបញ្ចប់ដែលដោះស្រាយសំណួរ raster ។

ឧទាហរណ៍ អ្នកវាយប្រហារអាចរៀបចំប៉ារ៉ាម៉ែត្រសំណើដើម្បីចាក់បំណែក SQL ដែលបង្ខំឱ្យមូលដ្ឋានទិន្នន័យត្រឡប់កំហុស ឬលេចធ្លាយព័ត៌មានដែលមានរចនាសម្ព័ន្ធ។

ការកេងប្រវ័ញ្ចដោយជោគជ័យអាចអនុញ្ញាតឱ្យអ្នកវាយប្រហាររំលងតក្កវិជ្ជាកម្មវិធី ចូលប្រើសំណុំទិន្នន័យសម្ងាត់ ឬផ្លាស់ប្តូរព័ត៌មានដែលបានរក្សាទុក។ ដោយសារការប្រើប្រាស់យ៉ាងទូលំទូលាយរបស់ Django នៅក្នុងកម្មវិធីសហគ្រាស និងរដ្ឋាភិបាល សូម្បីតែផ្ទៃប៉ះពាល់មានកម្រិតក៏បង្ហាញពីហានិភ័យដ៏មានអត្ថន័យផងដែរ។

ជាការឆ្លើយតប ក្រុម Django បានចេញផ្សាយកំណែដែលបានជួសជុលរួច រួមទាំង Django 6.0.2, 5.2.11 និង 4.2.28។

ការអាប់ដេតទាំងនេះមិនត្រឹមតែដោះស្រាយបញ្ហាកំហុស SQL injection ប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងបញ្ហាបន្ថែមផងដែរ រួមទាំងលក្ខខណ្ឌបដិសេធសេវាកម្ម និងចំណុចខ្សោយនៃការផ្ទៀងផ្ទាត់។ អង្គការដែលដំណើរការកំណែចាស់ៗត្រូវបានណែនាំយ៉ាងខ្លាំងឱ្យធ្វើឱ្យប្រសើរឡើងភ្លាមៗ ដើម្បីកាត់បន្ថយការប៉ះពាល់។

ទីភ្នាក់ងារសន្តិសុខតាមអ៊ីនធឺណិត រួមទាំងមជ្ឈមណ្ឌលសន្តិសុខតាមអ៊ីនធឺណិតកាណាដា បានចេញសេចក្តីជូនដំណឹងព្រមានថា CVE-2026-1207 កំពុងត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្មនៅក្នុងធម្មជាតិ។

ខណៈពេលដែលវាមិនទាន់ត្រូវបានបន្ថែមជាផ្លូវការទៅក្នុងកាតាឡុកភាពងាយរងគ្រោះសំខាន់ៗដែលត្រូវបានកេងប្រវ័ញ្ច សកម្មភាពដែលសង្កេតឃើញរបស់វាបង្ហាញពីលទ្ធភាពខ្ពស់នៃការទទួលយកយ៉ាងទូលំទូលាយដោយអ្នកគំរាមកំហែង។

អ្នកជំនាញសន្តិសុខណែនាំឱ្យពិនិត្យមើលកំណត់ហេតុកម្មវិធីសម្រាប់គំរូសំណួរមិនធម្មតា ជាពិសេសសំណើដែលពាក់ព័ន្ធនឹងប៉ារ៉ាម៉ែត្រ raster ឬកំហុសមូលដ្ឋានទិន្នន័យដែលមិននឹកស្មានដល់។

ការធានាការផ្ទៀងផ្ទាត់ការបញ្ចូលត្រឹមត្រូវ ការបិទការកំណត់រចនាសម្ព័ន្ធ debug នៅក្នុងផលិតកម្ម និងការដាក់ពង្រាយជញ្ជាំងភ្លើងកម្មវិធីគេហទំព័រអាចកាត់បន្ថយហានិភ័យបន្ថែមទៀត។

ការលេចចេញនៃការកេងប្រវ័ញ្ចសកម្មបង្ហាញពីបញ្ហាប្រឈមដែលកើតឡើងម្តងហើយម្តងទៀតនៅក្នុងក្របខ័ណ្ឌគេហទំព័រទំនើប៖ សូម្បីតែវេទិកាចាស់ទុំក៏អាចបង្កើតភាពងាយរងគ្រោះក្នុងករណីគែមនៅក្នុងម៉ូឌុលឯកទេសផងដែរ

សម្រាប់អង្គការដែលពឹងផ្អែកលើសមត្ថភាព GIS របស់ Django ការបិទភ្ជាប់រហ័ស និងការត្រួតពិនិត្យប្រកបដោយភាពសកម្មនៅតែមានសារៈសំខាន់ដើម្បីការពារប្រឆាំងនឹងសកម្មភាពវាយប្រហារដែលកំពុងវិវត្ត។